Hvem den foreslåtte informasjonsplikten skal gjelde for

Informasjonsplikten kan pålegges enten avgiverorganet eller mottakerorganet.

Etter Forvaltningslovutvalgets forslag i § 36 andre ledd bokstav c vil avgiverorganet være ansvarlig for å vurdere om vilkårene for å utlevere de

taushetsbelagte personopplysningene er oppfylt, se punkt 2.1.1. Dette gjelder altså selv om utleveringen skal skje i forbindelse med mottakerorganets oppgaver.

Avgiverorganet vil trolig likevel i praksis vektlegge mottakerorganets vurderinger av om delingen vil være forholdsmessig.

Etter at utleveringen har funnet sted, er det imidlertid mottakerorganet som vi l håndtere personopplysningene, og dermed vil kunne gi den registrerte informasjon om hvordan den videre behandlingen i praksis foregår, for eksempel om hvilke personopplysninger som blir behandlet og hvordan. Dersom den registrerte vil utøve sine rettigheter, vil også mottakerorganet kunne gjennomføre disse direkte, f.eks. ved å gi den registrerte innsyn i eller ved å rette eller slette aktuelle

opplysninger.

Ut fra dette er det mest nærliggende at den foreslåtte informasjonsplikten pålegges mottakerorganet.

44 3.5.3 Når den foreslåtte informasjonsplikten skal gjelde

Et viktig spørsmål er om denne informasjonsplikten skal gjelde ved alle

utleveringer i medhold av det foreslåtte unntaket fra taushetsplikten eller kun ved bestemte utleveringer.

Vurderingene i punkt 3.3.3 over tilsier at det sentrale vil være at den foreslåtte informasjonsplikten gjelder som en garanti ved utleveringer som innebærer en inngripende viderebehandling av personopplysninger.

Hva som utgjør en inngripende viderebehandling, er imidlertid ikke et klart avgrenset kriterium. Det vil kreve mye av rettsanvenderen å måtte ta stilling til dette som et selvstendig kriterium, i tillegg til den foreslåtte konkrete

nødvendighets- og forholdsmessighetsvurderingen.

Et noe klarere kriterium er at informasjonsplikten ikke skal gjelde der delingen skjer for det samme formålet eller er forenlig med formålet opplysningene opprinnelig ble samlet inn for. I tråd med vurderingen i punkt 3.3.3.3 vil forenligheten mellom innsamlingsformålet og delingen ha stor betydning for hvilke krav personvernforordningen stiller til delingsbestemmelsen. Etter departementets syn er derfor de mest aktuelle alternativene å enten ta inn en generell informasjonsplikt i den nye bestemmelsen, eller å begrense adgangen til deling som er uforenlig med det opprinnelige innsamlingsformålet.

Det vil imidlertid kunne være nokså vanskelig å vurdere om et bestemt formål er forenlig med delingen eller ikke. I mange tilfeller skal delingen også tjene flere formål, og det vil trolig oppstå tilfeller der ett formål er forenlig, mens et annet ikke er det. Det vil heller ikke alltid være klart hvilket formål som opprinnelig lå bak innsamlingen, og dette kan også dreie seg om flere formål. Disse momentene kan tilsi at informasjonsplikten bør gjelde generelt ved deling av opplysninger etter den nye bestemmelsen. De administrative og økonomiske kostnadene i forbindelse med en informasjonsplikt vil i utgangspunktet kunne bli mindre dersom plikten kun gjelder ved visse utleveringer, men de konkrete vurderingene av når plikten da gjelder, kan bli vanskelige og i seg selv medføre økte

administrative kostnader. Risikoen for feilvurderinger vil da også kunne bli større.

På den andre siden vil en generell informasjonsplikt kunne medføre en rekke varslinger som i utgangspunktet ikke er nødvendige, og i mange tilfeller vil den opplysningene gjelder, heller ikke ha noen nytte av dem. En stadig varsling om deling av helt kurante opplysninger vil for mange nærmest kunne oppleves som plagsomt. Det er også en viss fare for at en slik generell varsling vil bli opplevd som en rutine for personer hvis personopplysninger ofte må deles mellom organer.

Dette kan igjen medføre at man for eksempel overser de tilfellene hvor det handler om deling av sensitive opplysninger, og hvor det er grunn til å følge nøye med.

Departementet finner det vanskelig å foreslå en informasjonsplikt som vil medføre en rekke varsler som gjelder helt kurante delinger av opplysninger, som det ikke er noe reelt behov for, og som det ikke er noe krav om etter personvernforordningen.

Løsningen er imidlertid ikke opplagt.

Ut fra dette foreslår departementet i utgangspunktet at det kun skal gjelde

informasjonsplikt dersom delingen er uforenlig med innsamlingsformålet, men det bes om innspill fra høringsinstansenes til dette spørsmålet.

45 3.5.4 Innholdet i informasjonsplikten

Som omtalt i punkt 3.3.4 oppstiller personvernforordningen artikkel 14 en

informasjonsplikt der opplysningene samles inn fra andre enn den registre rte. Etter artikkel 14 nr. 1 skal det gis informasjon om identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt dennes representant,

kontaktopplysningene til et eventuelt personvernombud, formålene med den tiltenkte behandlingen av personopplysningene og det rettslige grunnlaget for behandlingen, de berørte kategoriene personopplysninger og eventuelle mottakere eller kategorier av mottakere av personopplysningene. Dersom det er relevant, skal det også informeres om at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal

organisasjon og om overføringsgrunnlaget for dette.

Etter artikkel 14 nr. 2 skal det i tillegg gis «informasjon som er nødvendig for å sikre en rettferdig og åpen behandling», noe som omfatter informasjon om

lagringstid, eventuelle berettigede interesser etter artikkel 6 nr. 1 bokstav f, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, rett til å protestere mot behandlingen og retten til dataportabilitet, retten til å trekke tilbake et eventuelt samtykke, retten til å klage til tilsynsmyndigheten, kilden opplysningene stammer fra, og eventuelt forekomsten av, logikken bak og forventede konsekvenser av automatiserte avgjørelser.

Etter departementets vurdering bør det nærmere innholdet i den foreslåtte

informasjonsplikten være basert på kravene i personvernforordningen artikkel 14 nr. 1 og 2, men plikten bør begrenses til å omfatte den informasjonen som trolig vil være viktig i forbindelse med deling av personopplysninger mellom

forvaltningsorganer. Departementet foreslår derfor at det skal informeres om identiteten og kontaktopplysningene til avgiverorganet og mottakerorganet, kontaktopplysningene til mottakerorganets personvernombud, oppgaven som begrunner delingen, det rettslige grunnlaget for delingen, hvilke typer

opplysninger som er delt, og retten til innsyn og andre rettigheter etter personvern-forordningen kapittel III.

Departementet foreslår at den foreslåtte informasjonsplikten inntas som første ledd i en ny § 13 g i forvaltningsloven.

3.5.5 Unntak fra informasjonsplikten

En rekke interesser og hensyn kan tilsi at den forelsåtte særskilte

informasjonsplikten helt eller delvis ikke bør gjelde i bestemte situasjoner.

Det følger av personvernforordningen artikkel 14 nr. 5 bokstav a at

informasjonsplikten ikke gjelder når den registrerte allerede har informasjonen.

Etter artikkel 14 nr. 5 bokstav b gjelder det samme dersom det viser seg umulig å gi informasjonen, eller det vil innebære en uforholdsmessig stor innsats, eller i den grad informasjonsplikten sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås.

Videre følger det av forvaltningsloven § 16 tredje ledd bokstav a at

forhåndsvarsling etter paragrafens første og andre ledd kan unnlates dersom slik varsling ikke er praktisk mulig eller vil medføre fare for at vedtaket ikke k an gjennomføres. Etter § 16 tredje ledd bokstav b kan varsling også utelates hvis

46 parten ikke har kjent adresse og ettersporing av ham vil kreve mer tid eller arbeid enn rimelig i forhold til partens interesser og til betydningen av varslet . Etter bokstav c kan varsling utelates dersom parten allerede på annen måte har fått kjennskap til at vedtak skal treffes og har hatt rimelig foranledning og tid til å uttale seg, eller varsel av andre grunner må anses åpenbart unødvendig.

Departementet foreslår ut fra dette at det skal gjelde enkelte unntak fra den

foreslåtte nye informasjonsplikten, og at disse utformes på bakgrunn av unntakene i personvernforordningen artikkel 14 nr. 5 bokstav a og b og forvaltningsloven

§ 16 tredje ledd bokstav a til c.

Den foreslåtte informasjonsplikten skal således ikke gjelde i følgende fire alternative situasjoner:

 Den registrerte har allerede fått informasjonen på en annen måte.

 Det er ikke praktisk mulig å gi informasjonen.

 Det vil kreve mer tid eller arbeid å gi informasjonen enn hva som er rimelig ut fra hvilke opplysninger som er delt, og hva saken gjelder.

 Å gi informasjonen vil i alvorlig grad hindre gjennomføring av oppgaven som begrunner delingen.

Se for øvrig den nærmere omtalen av unntakene i punkt 8.2.2.

Departementet foreslår at unntakene fra den foreslåtte informasjonsplikten inntas i andre ledd i den nye § 13 g i forvaltningsloven.

Etter departementets oppfatning bør en informasjonsplikt heller ikke gjelde for opplysninger som det av særlige grunner ikke bør informeres om. Departementet foreslår derfor at unntakene i personopplysningsloven § 16 første ledd skal gjelde også for den foreslåtte informasjonsplikten, se forslaget til forvaltningsloven § 13 g andre ledd andre punktum. Etter departementets oppfatning vil de mest relevante unntaksbestemmelsene være § 16 første ledd bokstav a til c og f, jf. andre ledd.

Etter bokstav a gjelder ikke informasjonsplikt for opplysninger som er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars - og sikkerhetsinteresser, når den behandlingsansvarlige kan unnta opplysningene etter offentleglova §§ 20 eller 21. Bokstav b gjør unntak for opplysninger det er

påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger. Unntaket i bokstav c gjelder for opplysninger det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær.

Bokstav f gjør unntak fra informasjonsplikt for opplysninger det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om . Informasjonsplikten som foreslås i § 13 g, skal utgjøre et særskilt tiltak for å sikre at deling av personopplysninger basert på en generelt utformet

delingsbestemmelse er i samsvar med kravene i personvernforordningen.

Unntakene i personopplysningsloven § 16 må tolkes i lys av dette, og de bør derfor ikke tolkes for vidt.

3.5.6 Utforming av bestemmelsene om informasjonsplikt

Departementet ber for øvrig særskilt om innspill til utformingen av bestemmelsene om informasjonsplikt. Det er viktig at meiningsinnholdet kommer tydelig fram, og

47 at alle nødvendige momenter er med, men samtidig bør ikke bestemmelsene være for vanskelig tilgjengelige.

3.5.7 Mulig praktisering av den foreslåtte informasjonsplikten

I punktene over er det foreslått hvilke krav som skal gjelde for når informasjon skal gis til den registrerte, hvilket innhold den skal ha, og hvordan informasjonen skal utformes.

Oppfyllelse av informasjonsplikten må skje i samsvar med de alminnelige kravene til behandling av personopplysninger. Departementet vil særlig fremheve kravene til informasjonssikkerhet, som blant annet følger av forordningen artikkel 32 . Hvilke tiltak som er nødvendige for å sikre sikkerhet ved behandlingen, vil bero på en konkret vurdering. Dersom det skal gis informasjon i forbindelse med deling av særlige kategorier av personopplysninger, kan det for eksempel medføre at visse kommunikasjonskanaler ikke vil anses som sikre nok. Utover dette mener departementet imidlertid at det enkelte forvaltningsorgan bør kunne vurdere og avgjøre hvordan den foreslåtte informasjonsplikten skal oppfylles på best mulig måte. Departementet vil likevel gi noen generelle betraktninger rundt hvordan informasjonsplikten kan gjennomføres.

Dersom forvaltningsorganet vil få utlevert personopplysninger i medhold av den foreslåtte delingsbestemmelsen regelmessig og i stort omfang, bør organet vurdere å ha et dedikert system for varsling av den registrerte. Informasjonen kan for eksempel gis gjennom en særskilt nettside eller portal med en sikker

innloggingsløsning. Det kan tenkes at forvaltningsorganet har eksisterende tekniske løsninger for å gi informasjon til enkeltpersoner som kan benyttes i den forbindelse.

Forvaltningsorganet kan også vurdere om det er mulig å etablere et fellessystem for gjennomføringen av informasjonsplikten med andre forvaltningsorganer.

Dersom forvaltningsorganet bare sporadisk vil få utlevert personopplysninger i medhold av den foreslåtte unntaksbestemmelsen, kan det være uforholdsmessig ressurskrevende å ha et dedikert teknisk system for gjennomføring av

informasjonsplikten. I noen tilfeller er det heller ikke mulig eller ønskelig fra den registrertes side at informasjonsplikten oppfylles gjennom en teknisk løsning. Det kan i slike tilfeller være mer hensiktsmessig å sende informasjonen direkte til den registrerte. Også da er det sentralt at informasjonen gis på en sikker måte.

Det bør i alle tilfeller tas hensyn til at informasjonsplikten ikke skal føre til at den registrerte overøses med informasjon. Det bør derfor vurderes å gi informasjon i flere stadier, for eksempel ved at det gis et varsel til den registrerte om at deling har funnet sted sammen med en forklaring på hvordan den registrerte kan få fullstendig informasjon i tråd med informasjonsplikten.

3.6 Forskriftshjemmel

Som nevnt ovenfor foreligger det allerede mange hjemler for deling av

taushetsbelagte opplysninger mellom forvaltningsorganer i forvaltningsloven § 13 b første ledd. I tillegg kommer en rekke delingshjemler i særlovgivningen.

Dersom det ikke foreligger noen spesifikk delingshjemmel i gjeldende lov eller forskrift, men det foreligger et behov for å kunne dele opplysninger på det aktuelle området, kan det være et nærliggende alternativ å fastsette slike hjemler i forskrift.

48 En slik løsning vil være godt i samsvar med personvernforordningens system, siden det vil foreligge en spesifikk hjemmel for behandlingen av

personopplysninger, og denne hjemmelen vil ha grunnlag i lov. Dette vil også gi et sikrere og mer entydig delingsgrunnlag enn om man må basere seg på den

skjønnsmessige bestemmelsen i forslaget til forvaltningsloven § 13 første ledd nr.

7 i hvert enkelt tilfelle.

Dersom delingsadgangen reguleres mer spesifikt i forskrift, kan

personvernforordningens krav om nødvendige garantier ivaretas på annen måte enn ved en særskilt informasjonsplikt. Forskriftshjemmelen vil derfor kunne benyttes til å åpne for deling uten en særskilt informasjonsplikt. Hvordan

forordningens krav skal ivaretas i den enkelte forskriften, må vurderes konkret, jf.

punkt 2.8 ovenfor.

På bakgrunn av dette går departementet inn for å fastsette en ny forskriftshjemmel i forvaltningsloven. Denne hjemmelen skal åpne for å gi forskrift om adgang til å dele taushetsbelagte opplysninger for å utføre bestemte oppgaver, forutsatt at en slik deling ikke er uforholdsmessig overfor den opplysningene gjelder. Spørsmålet om hva som er forholdsmessig, må vurderes konkret i forbindelse med delingen, og vilkåret om forholdsmessighet vil måtte fastsettes og eventuelt presiseres i den enkelte forskriften. Det foreslås videre at forskriftshjemmelen skal åpne for å gi regler om annen behandling av opplysninger i forbindelse med delingen. Begrepet

«behandling» skal her forstås på samme måte som i personvernforordningen artikkel 4 nr. 2. Dette vil blant annet omfatte videre deling, lagring, bruk, sammenstilling og sletting av opplysninger.

Forslaget bygger på en forutsetning om at det er en forbindelse mellom delingen og den behandlingen av opplysninger som ellers blir regulert i forskriften. Reglene i en slik forskrift om annen behandling av opplysninger må følgelig gjelde

behandling i tilknytning til utførelsen av den eller de av avgiver- eller mottakerorganets oppgaver som gir grunnlag for delingen, og som er angitt i forskriften.

Forskriftshjemmelen bør plasseres i tilknytning til de andre taushetspliktreglene i loven, og departementet går derfor inn for å fastsette den i en ny § 13 h i

forvaltningsloven. Forskriftsmyndigheten bør i utgangspunktet legges til Kongen, som så kan delegere den til departementene og eventuelle andre organer på vanlig måte.

Departementet understreker at den foreslåtte generelle bestemmelsen i

forvaltningsloven om adgang til å dele opplysninger for å ivareta m ottakerorganets oppgaver vil være avgjørende for å kunne dele taushetsbelagte opplysninger i tilfeller som ikke dekkes av de eksisterende hjemlene, og heller ikke omfattes av noen forskrift.

Det kan være flere grunner til at det ikke gis noen forskrift som dekker det aktuelle tilfellet. Delingsspørsmålet kan ha kommet opp på det aktuelle området i liten grad, man har ikke har hatt tid å fastsette en forskrift, eller man har kommet til at det ikke er tilstrekkelige grunner for å gi noen slik forskrift på om rådet. Det vil ellers alltid kunne oppstå konkrete situasjoner som faller utenfor en slik

forskriftsregulering.

49 3.7 Andre forhold som kan tilsi at delingshjemmelen ikke bør benyttes 3.7.1 Innledning

I visse situasjoner gjør det seg gjeldende andre hensyn som tilsier at taushetsbelagte opplysninger ikke bør deles, heller ikke med andre

forvaltningsorganer, selv om det foreligger hjemmel for deling. Dette kan dreie seg om mange ulike typer situasjoner, og det er ulike hensyn som ligger bak.

Situasjonene må vurderes konkret, basert på hva slags opplysninger det handler om, og hvor sterkt behovet for deling gjør seg gjeldende. Således skiller disse situasjonene seg fra dem der det generelt foreligger behov for unntak fra

delingsadgangen, og som det er foreslått eller reist spørsmål om særregulering av i dette høringsnotatet.

Dette er også en sentral del av bakgrunnen for at departementet ikke går inn for å innføre en opplysningsplikt overfor andre forvaltningsorganer.

Departementet foreslår ikke noen nærmere regulering av disse forholdene, men vil framheve enkelte sentrale hensyn mv. som bør tas i betraktning ved spørsmålet om opplysningene bør deles med andre organer.

3.7.2 Hensynet til fortrolighet gjør seg særlig sterkt gjeldende

Hensynet til fortrolighet er et grunnleggende hensyn bak selve taushetsplikten. De som gir opplysninger til forvaltningen, skal vite at sensitive opplysninger ikke videreformidles, og det kan svekke tilliten til vedkommende organ dersom opplysningene likevel gis videre. Dette hensynet gjelder ikke absolutt, noe som kommer til uttrykk i dagens regler for deling av taushetsbelagte opplysninger.

Forvaltningslovutvalget har i sin utredning kommet til at hensynet generelt ikke bør være til hinder for deling mellom forvaltningsorganer, se NOU 2019: 5 punkt 19.12.9.2.

I noen tilfeller gjør hensynet til fortrolighet seg derimot sterkere gjeldende enn ellers. Dette kan for eksempel være tilfelle der en person delvis åpner seg for et forvaltningsorgan, men fortsatt ikke har fortalt alt. I slike tilfeller kan de t være avgjørende for å få den fullstendige informasjonen at de mottatte opplysningene ikke bringes videre. En annen type tilfeller er der en person nærmest opererer som en kilde overfor et forvaltningsorgan, og det komme nye opplysninger etter hvert.

Det kan da være avgjørende for å sikre en videre tilførsel av opplysninger at de mottatte opplysningene ikke deles. Dette må uansett vurderes ut fra hva slags opplysninger det handler om, og hvor sterkt behovet for deling gjør seg gjeldende .

3.7.3 Konkurransehensyn gjør seg særlig sterkt gjeldende

Når det er snakk om opplysninger som er taushetsbelagte etter forvaltningsloven

§ 13 første ledd nr. 2, vil konkurransehensyn stå sentralt. Forutsetningen for slik taushetsplikt er som nevnt at den opplysningene gjelder, kan bli dårligere stilt overfor konkurrenter, og slik kunne lide et økonomisk tap eller få en redusert gevinst. I noen tilfeller gjør konkurransehensyn seg særlig sterkt gjeldende , typisk der opplysningene omhandler den direkte sammensetningen av produkter. Her vil mulighetene for utnyttelse vær særlig store, og dette vil kunne ramme

næringsdrivende, oppfinnere osv. mer direkte og hardere enn om andre typer forretningshemmeligheter blir kjent. Selv om delingen bare skjer mellom forvaltningsorganer, vil enhver spredning medføre en viss økt fare for at

50 opplysningene misbrukes. Det er derfor grunn til å være ekstra varsom med deling av slike opplysninger.

3.7.4 Opplysningene er mottatt i andre sammenhenger enn der organet utfører forvaltningsoppgaver

Mange forvaltningsorganer vil håndtere taushetsbelagte opplysninger også i andre sammenhenger enn der organet utfører forvaltningsoppgaver eller

internforvaltning. Dette vil for eksempel gjelde organer som forvalter statlig eierskap i selskaper, eller utnevner statlige representanter i styret for stiftelser og lignende. Videre vil kommuner, fylkeskommuner og enkelte andre organer som omfattes av forvaltningsloven, forvalte eget eierskap i selskaper og velge sine egne representanter i styrer osv. Mange organer vil også drive eller være tilknyttet ulike former for næringsdrift.

I slike sammenhenger vil man typisk måtte håndtere opplysninger som er omfattet av taushetsplikt etter forvaltningsloven § 13 første ledd nr. 2, men det vi l selvsagt også kunne foreligge opplysninger om noens «personlige forhold» etter nr. 1.

Det er ikke alltid opplagt at disse opplysningene bør kunne deles med andre organer for å ivareta forvaltningsoppgaver. Bakgrunnen for at opplysningene gis vil ofte være en helt annen enn utøving av forvaltningsoppgaver, og i verste fall kan en deling av slike selskaps- og næringsrelaterte opplysninger være negativt for offentlige organers posisjon som eiere, forretningspartnere osv.

Departementet understreker her nok en gang at forslaget til utvidet delingsad gang ikke skal medføre noen opplysningsplikt, kun en mulighet til å dele opplysninger.

Dersom de aktuelle opplysningene i utgangspunktet ikke har tilknytning til

utøving av forvaltnings-oppgaver, kan det være grunn til å være mer tilbakeholden med å dele dem enn hva som gjelder for andre opplysninger. Dette kan likevel

utøving av forvaltnings-oppgaver, kan det være grunn til å være mer tilbakeholden med å dele dem enn hva som gjelder for andre opplysninger. Dette kan likevel

In document Innhold Høringsnotat (sider 43-0)